100.000 dominios en la mira: Microsoft asesta un golpe al mercado cibercriminal de habla china

Microsoft comenzó a bloquear más de 100.000 dominios relacionados con el mercado de servicios cibercriminales de habla china. Tras la vitrina con herramientas listas para el fraude se ocultaba una infraestructura que envió más de mil millones de mensajes maliciosos en todo el mundo.

La operación se dirigió contra tres servicios interconectados: YAM Store, CoGUI e Iron Man. Desde enero de 2026, con su ayuda atacaron a más de 75.000 organizaciones en más de 150 países. Según Microsoft, los clientes recibieron más de 750 millones de mensajes fraudulentos, y los operadores de los servicios delictivos ganaron decenas de millones de dólares.

La investigación comenzó a finales de 2025, cuando la Agencia Nacional de Policía de Japón advirtió a Microsoft sobre una oleada de correos fraudulentos. En lugar de grupos criminales aislados, los investigadores descubrieron todo un mercado donde se vendían cuentas, alojamiento y herramientas para crear sitios falsos. Al caso se sumaron el centro japonés JC3 y empresas privadas.

YAM Store operaba como una tienda en línea convencional. Los compradores elegían productos, comparaban precios y adquirían cuentas falsas de Microsoft y Google, así como herramientas para el robo de datos. Compras de verificación realizadas por Microsoft confirmaron el esquema de ventas. Algunos vendedores usaban dominios caducados de organizaciones sin fines de lucro y educativas para obtener cuentas de Microsoft 365.

Los delincuentes restauraban sitios en esos dominios, dando la apariencia de organizaciones activas. Luego registraban cuentas de Microsoft 365 bajo ese nombre y las vendían a través de YAM Store. Las cuentas obtenidas ayudaban a llevar a cabo posteriores campañas fraudulentas, y los compradores no tenían que preparar la infraestructura por su cuenta.

CoGUI proporcionaba páginas y mensajes prefabricados en nombre de bancos, organismos estatales y empresas conocidas. Las falsificaciones extraían contraseñas, datos de pago e información personal. El servicio se usó especialmente contra residentes de Japón y Estados Unidos, aunque a mediados de 2026 fue sustituido cada vez más por un conjunto más nuevo, Iron Man.

Iron Man permitía reunir rápidamente correos electrónicos, SMS y sitios web dirigidos a un país o marca concretos. Los investigadores tuvieron acceso a más de 2.300 plantillas que imitaban bancos, comercios, hospitales, organismos de transporte y fuerzas policiales en más de 150 países. La existencia de una plantilla no implicaba que la organización real hubiera sido comprometida.

Como indica la investigación de Microsoft, el mercado fraudulento funcionaba según el principio de división del trabajo. Unos participantes vendían cuentas, otros proporcionaban páginas para phishing, y otros preparaban mensajes en nombre de organizaciones de confianza. Las víctimas solo veían notificaciones sobre entregas, viajes impagos o problemas con la cuenta bancaria.

Por orden judicial en Florida, Microsoft, junto con Health-ISAC, incautó y redirigió parte de los dominios de los tres servicios. La compañía ya ha desactivado más de 20.000 cuentas de YAM Store y sigue bloqueando más de 100.000 dominios fraudulentos. Anteriormente, Microsoft participó en la eliminación de RedVDS, que proporcionaba infraestructura para operaciones delictivas. Aún no se ha anunciado la interrupción completa de la red detectada.